Cursor ha confermato che l’estensione per Claude Code distribuita tramite il suo VS Code Extension Marketplace ha infettato circa 5.000 utenti con l’installazione di una backdoor SSH. L’azienda californiana, acquisita da SpaceX a metà agosto, ha poi pubblicato una nuova versione dell’estensione e ripristinato l’accesso al marketplace.
Cursor ha rilevato una versione infetta dell’estensione Claude Code VS Code 2.1.312 e 2.1.313 per Windows e macOS. L’estensione è rimasta disponibile tra le 2:27 e le 13:35 locali (le 11:27 e le 22:35 in Italia) del 29 ottobre. Durante queste 11 ore è stata installata da circa 5.000 utenti. Cursor ha precisato che il componente non era stato sviluppato da Anthropic e che tutte le altre estensioni presenti nel marketplace non erano state compromesse.
L’incidente si è manifestato attraverso un attacco alla catena di fornitura, il meccanismo che permette ai cybercriminali di introdurre codice dannoso nel canale di distribuzione ufficiale. Cursor non ha spiegato come i criminali abbiano ottenuto l’accesso a tale canale. Diversi ricercatori, tra cui quelli di Microsoft, hanno trovato un loader JavaScript nel pacchetto dell’estensione.
All’avvio dell’estensione, il loader cominciava a raccogliere dati del computer: nome host, nome utente, sistema operativo, architettura, percorso della directory home, nomi delle variabili d’ambiente, directory di lavoro, indirizzo email configurato per Git e indirizzo IP pubblico. Il componente risultava quindi presente nel pacchetto dell’estensione ed è stato individuato anche dai ricercatori di Microsoft.
Il loader introduceva inoltre una chiave SSH, abilitava il servizio SSH locale e apriva un reverse tunnel SSH quando Cursor IDE era avviato con privilegi di amministratore. La persistenza della backdoor veniva assicurata mediante un LaunchAgent su macOS e un’attività pianificata su Windows. Il tunnel veniva ripristinato ogni 60 secondi, in modo da mantenere attivo il collegamento.
Cursor ha rimosso l’estensione infetta e messo temporaneamente offline il marketplace, ripristinando in seguito l’accesso dopo la pubblicazione di una nuova versione. Agli utenti è raccomandato di disinstallare la versione compromessa: la 2.1.314 è indicata come versione pulita. Anthropic ha fornito un supporto e specificato che i suoi sistemi e i notebook dei dipendenti non sono stati compromessi.
